Sécurité, sauvegardes et continuité

Valdasyn tient des dossiers d'enfants, dont des fiches sanitaires. Cette page dit ce qui les protège, avec des chiffres, et ce qui n'existe pas encore. Dernière mise à jour : 4 septembre 2026.

Ce qui est en place, et se mesure

Un « vos données sont sécurisées » ne se vérifie pas. Les valeurs ci-dessous, si. Elles sont celles du code en production, et cette page se corrige le jour où elles changent.

Mots de passe: PBKDF2-SHA256, 600 000 itérations, sel aléatoire de 16 octets, empreinte de 32. C'est le nombre d'itérations que recommande l'OWASP pour cet algorithme — un plancher, pas un minimum poli. Un mot de passe n'est jamais stocké en clair ni consultable, y compris par l'Éditeur.
Liens de dépôt envoyés aux familles: 256 bits d'entropie : 32 octets tirés du générateur cryptographique du système. Un tel lien ne se devine pas, ne s'énumère pas, et n'est pas dérivé de l'identité de l'enfant. Il expire, ne sert qu'au dépôt, et se révoque à tout moment depuis l'application.
Deuxième facteur sur ces liens: La page demande en plus la date de naissance de l'enfant. Elle ne figure pas dans le lien : quelqu'un qui l'intercepterait sans connaître l'enfant ne pourrait rien déposer en son nom.
Force brute sur un compte: Cinq mots de passe manqués ferment le compte pendant un quart d'heure. Une connexion réussie efface l'ardoise. Le blocage porte sur le compte visé, pas seulement sur l'adresse d'appel : changer de réseau n'y change rien.
Force brute sur les portails sans compte: Dix tentatives par heure et par empreinte pour le portail des familles, soixante pour celui des prestataires. Au-delà, la porte se ferme.
Ouverture de comptes: Cinq par heure et par adresse d'appel, cent par heure pour l'ensemble du service. Ce second plafond existe pour qu'une machine distribuée ne contourne pas le premier.
Envoi de courriels: Trente par heure et par expéditeur, cinq par heure et par destinataire. Une adresse ne peut pas être noyée depuis Valdasyn.
Transport: HTTPS sur l'ensemble du service, et HSTS : le navigateur refuse de revenir en clair sur ce domaine, sous-domaines compris. Aucun script tiers n'est autorisé à s'exécuter sur les pages, ce qu'une politique de sécurité du contenu impose au navigateur lui-même.
Sessions: Jeton signé par HMAC, vérifié à chaque appel. Aucun jeton ne circule dans l'adresse d'une page : les liens sensibles les portent dans le fragment, qui n'est jamais transmis au serveur ni écrit dans ses journaux.
Cloisonnement: Chaque requête vérifie l'appartenance du séjour au compte qui la fait. Un directeur n'atteint que ses séjours ; sur un séjour, chacun ne voit que les onglets et les catégories de documents que la direction lui a ouverts.

Ce qui n'existe pas encore

Cette section compte autant que la précédente. Un produit jeune qui n'énumère que ses forces demande qu'on le croie sur parole ; celui qui nomme ses manques donne de quoi décider.

Aucune sauvegarde de la base de données

C'est la limite la plus lourde, et elle est écrite noir sur blanc dans l'annexe de sous-traitance. L'offre d'hébergement souscrite ne les inclut pas. En cas de perte du serveur, les données ne seraient pas restaurables. C'est pourquoi l'export complet est offert à tout moment, sans démarche ni frais, et pourquoi nous recommandons expressément d'en conserver une copie régulière. Cette limite sera levée par une offre incluant les sauvegardes, et cette page le dira ce jour-là.

Aucun audit de sécurité indépendant

Ni test d'intrusion, ni revue de code extérieure. Le produit bouge encore trop pour qu'un rapport tienne six mois ; il sera commandé une fois la base stabilisée et les premiers organismes installés. En attendant, les mesures ci-dessus sont déclarées par l'Éditeur et n'ont pas été validées par un tiers.

Aucune certification ISO 27001 ni SOC 2

Ces référentiels supposent une organisation : séparation des rôles, revues périodiques, preuves d'exécution sur douze mois. Une entreprise individuelle ne peut pas y satisfaire, quel que soit le soin apporté au travail.

Aucun engagement de disponibilité chiffré

Écrire « 99,9 % » sans redondance ni bascule serait une promesse qu'on ne peut pas tenir. Nous préférons ne pas l'écrire.

Un éditeur, une personne

Le développement, l'exploitation, le support et la conformité reposent sur la même personne. C'est le risque le plus réel de Valdasyn aujourd'hui, davantage que la technique. Ce que nous faisons pour l'atténuer est décrit plus bas.

Les questions qu'un délégué à la protection des données pose

Elles reviennent toutes, dans cet ordre ou dans un autre. Les réponses sont ici plutôt que dans un échange de courriels : c'est plus rapide pour vous, et cela nous oblige.

À quelle fréquence les sauvegardes sont-elles faites, et combien de temps sont-elles gardées ?

Il n'y en a aucune aujourd'hui. La question se reposera le jour où l'hébergement en inclura, et cette page portera alors la fréquence, la durée de rétention et le chiffrement.

Quand avez-vous testé une restauration pour la dernière fois ?

Jamais, faute de sauvegarde à restaurer. Le premier test sera daté et publié ici : une sauvegarde jamais restaurée n'est pas une sauvegarde.

Quels sont vos RPO et RTO ?

En l'état, la perte du serveur signifierait la perte des données. Nous ne publions pas d'objectif chiffré que rien ne soutient.

Avez-vous fait réaliser un test d'intrusion ?

Non. Voir « Ce qui n'existe pas encore ».

Comment protégez-vous les comptes et les liens de dépôt contre la force brute ?

Cinq mots de passe manqués ferment un compte pendant quinze minutes ; le portail des familles accepte dix tentatives par heure et par empreinte, celui des prestataires soixante. Les valeurs exactes sont dans le tableau plus haut.

Comment sont produits et invalidés les jetons des liens envoyés aux familles ?

32 octets du générateur cryptographique du système, soit 256 bits. Le jeton n'est pas dérivé de l'enfant, ne circule pas dans l'adresse envoyée au serveur, expire, et se révoque depuis l'application — la révocation prend effet immédiatement.

Où sont les données, et qui peut y accéder depuis un pays tiers ?

La base est hébergée en Union européenne, à Amsterdam, et n'existe qu'à cet endroit. Elle est exploitée par Railway Corporation, société de droit américain : un accès depuis les États-Unis pour l'exploitation de la plateforme ne peut être exclu, et il est encadré par les clauses contractuelles types de la Commission européenne, au titre d'un contrat de sous-traitance signé. La liste complète des sous-traitants figure dans l'annexe.

Que se passe-t-il si Valdasyn cesse son activité ?

L'engagement figure dans les conditions : au moins soixante jours de préavis annoncés par courriel à tous les comptes, l'export maintenu ouvert pendant toute cette durée, et l'effacement ensuite. L'export est déjà disponible aujourd'hui, sans demande et sans frais : n'attendez pas cette échéance pour l'essayer.

Vos données servent-elles à autre chose ?

Non. Aucune donnée n'est revendue, cédée, ni utilisée pour entraîner un modèle. Il n'y a aucun traceur ni mesure d'audience sur le service — c'est pourquoi vous n'avez jamais vu de bandeau de cookies.

Comment signaler une faille ?

Écrivez à l'adresse de contact, ou suivez le fichier /.well-known/security.txt. Aucune poursuite ne sera engagée contre une recherche menée de bonne foi, sans dégrader le service et sans divulguer ce qui aurait été vu.

Si Valdasyn s'arrêtait

C'est la question qu'on pose rarement et qu'il faut poser. Valdasyn est édité par une personne : le service peut s'arrêter, pour une raison qui n'a rien à voir avec le sérieux du travail.

Soixante jours de préavis au moins, annoncés par courriel à tous les comptes.
L'export reste ouvert pendant toute la durée du préavis, sans démarche et sans frais.
L'export produit une archive lisible sans Valdasyn : des fichiers rangés par personne ou par type, et les listes au format d'un tableur.
Les données sont effacées à l'issue du préavis, et non conservées « au cas où ».
N'attendez pas ce jour-là : exportez régulièrement. C'est vrai de Valdasyn comme de n'importe quel service, et c'est encore plus vrai tant qu'il n'y a pas de sauvegarde.

Ce que nous vous demandons de faire de votre côté

La sécurité d'un dossier d'enfant ne tient pas qu'au serveur. Trois gestes valent plus que n'importe quelle mesure technique.

N'ouvrez à chacun que les onglets dont il a besoin : un animateur n'a pas à consulter les fiches sanitaires de tous les enfants.
Retirez l'accès dès la fin d'une mission. L'écran des paramètres le fait en un clic, et « voir comme lui » vous montre ce qu'il voyait.
Conservez par vos propres moyens les pièces que la réglementation vous impose de garder au-delà des délais d'effacement de l'application.

Une question qui n'est pas là

Posez-la : elle intéresse probablement quelqu'un d'autre, et la réponse rejoindra cette page. Adonis.perbet@gmail.com.

Voir aussi la politique de confidentialité et l'annexe de sous-traitance, qui font foi.